令和7年度 秋期 応用情報技術者試験 午前 問36

テクノロジセキュリティ技術

この問題は2025(R7)秋 応用情報技術者 午前に出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。

本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。

サイバー攻撃の攻撃段階をモデル化したサイバーキルチェーンにおいて，“エクスプロイト”に該当する行為はどれか。

解答・解説を読む

正解: 選択肢イ

サイバーキルチェーン（Cyber Kill Chain）は、サイバー攻撃者が標的とする組織に攻撃を仕掛ける一連の行動を段階的にモデル化したものです。攻撃の段階を細分化することで、各段階における防御・検知策を検討するために用いられます。

一般的なサイバーキルチェーンは以下の7つの段階で構成されています。

  1. 偵察 (Reconnaissance): 標的の調査や情報収集を行う。
  2. 武器化 (Weaponization): 脆弱性を突くためのマルウェアなどの攻撃ツールを作成する。
  3. 配送 (Delivery): 攻撃ツールをメールやWebサイト経由で標的に送り込む。
  4. エクスプロイト (Exploitation): 標的の脆弱性を悪用して攻撃コードを実行する。
  5. インストール (Installation): バックドアなどのマルウェアを標的システムに定着させる。
  6. 遠隔操作 (Command and Control / C2): 外部のC2サーバから標的システムを制御する。
  7. 目的の実行 (Actions on Objectives): 機密データの窃取や破壊などの最終目的を達成する。

問題文で問われている「エクスプロイト」は、標的システム上のOSやアプリケーションの脆弱性を突いて攻撃ツール（攻撃コード）を実行させる段階を指します。

各選択肢の解説

  • ア: 「公開情報の閲覧，顧客を装った電子メールでの問合せなどを行い，標的とする組織を調査する。」
    • 事前調査の段階であり、偵察 (Reconnaissance) に該当します。
  • イ: 「標的とする組織のPCでOSの脆弱性を悪用し，攻撃ツールを実行させる。」
    • 脆弱性を悪用してコードを実行する段階であり、エクスプロイト (Exploitation) に該当します。したがって、これが正解です。
  • ウ: 「標的とする組織のサーバから秘密情報を窃取し，攻撃者が用意したサーバに送信する。」
    • 攻撃の最終的な目的を果たす段階であり、目的の実行 (Actions on Objectives) に該当します。
  • エ: 「標的とする組織の従業員にマルウェアを添付した電子メールを送りつける。」
    • 標的の環境に攻撃ツールを届ける段階であり、配送 (Delivery) に該当します。